💻 computer science

Detecting Cybersecurity Threats using Deep Learning: A Practical Approach

Dit artikel stelt een praktisch, meerlagig deep learning-framework voor dat gebruikmaakt van CNN's en LSTM's om geavanceerde cybersecurity-dreigingen te detecteren door kritieke technische uitdagingen zoals data-imbalans aan te pakken en een gids te bieden voor schaalbare, real-time implementatie in Security Operations Centers.

Oorspronkelijke auteurs: Jamal Khouya, Abdelkrim El Mouatasim

Gepubliceerd 2026-07-10

📖 5 min leestijd🧠 Diepgaand

CC BY 4.0

Oorspronkelijke auteurs: Jamal Khouya, Abdelkrim El Mouatasim

Oorspronkelijk artikel gelicentieerd onder CC BY 4.0 (https://creativecommons.org/licenses/by/4.0/). ✨ Dit is een AI-gegenereerde uitleg van het onderstaande artikel. Het is niet geschreven of goedgekeurd door de auteurs. Raadpleeg het oorspronkelijke artikel voor technische nauwkeurigheid. Lees de volledige disclaimer

Stel je het internet voor als een enorme, bruisende stad waar miljarden berichten elke seconde rondzwieven. Lange tijd gebruikten de beveiligingsbeambten van de stad (traditionele cybersecurity) een simpele truc: ze hielden een "Gezocht"-poster vast met een specifiek gezicht erop. Als er iemand langsliep die precies leek op het gezicht op de poster, werd die persoon tegengehouden. Maar de boeven in deze stad zijn slim. Ze dragen maskers, veranderen van kleding of herschrijven zelfs hun eigen DNA telkens wanneer ze een nieuw gebouw binnengaan. Dit is wat het artikel polymorfe malware en zero-day exploits noemt—dreigingen die nog geen "Gezocht"-poster hebben omdat ze nog nooit eerder zijn gezien.

De auteurs, Jamal Khouya en Abdelkrim El Mouatasim, stellen dat vertrouwen op deze oude "Gezocht"-posters is alsovergelijkbaar met het proberen te vangen van een vormveranderende ninja met een foto van een clown. Het werkt simpelweg niet. Ze stellen expliciet dat traditionele, op signatures gebaseerde methoden de moderne, snel evoluerende aanvallen niet kunnen bijhouden. Ze zeggen dat deze oude methoden te traag, te reactief en te gemakkelijk te misleiden zijn door versleuteld verkeer of slimme vermommingen.

In plaats daarvan stellen ze voor om een beveiligingsbeambte te bouwen die niet alleen naar gezichten kijkt, maar ook naar gedrag begrijpt. Ze stellen het gebruik van Deep Learning voor, een vorm van kunstmatieve intelligentie die werkt als een super slimme detective die elk boek in de bibliotheek heeft gelezen en een crimineel kan herkennen aan de manier waarop hij loopt, zelfs als hij nog nooit eerder is gepakt.

De gereedschapskist van de detective: CNN's en LSTM's

Om deze detective te bouwen, gebruiken de auteurs twee speciale instrumenten, die zij CNN's en LSTM's noemen.

De CNN (Convolutional Neural Network) is als een krachtige microscoop. Het kijkt naar de minuscule, ruimtelijke details van een enkel bericht (een netwerkpakket). Het controleert de "textuur" van de data en zoekt naar vreemde patronen in de bytes die op een virus kunnen wijzen, zelfs als het virus verstopt zit in een versleutelde doos.
De LSTM (Long Short-Term Memory) is als een detective met een perfect geheugen voor het verleden. Hij kijkt niet alleen naar één bericht; hij volgt het hele verhaal. Hij onthoudt dat een gebruiker om 9:00 uur inlogde, om 9:05 uur probeerde toegang te krijgen tot een bestand en om 9:06 uur probeerde een enorme database te downloaden. Als die opeenvolging van gebeurtenissen "af" voelt vergeleken met normaal gedrag, slaat de LSTM alarm.

Het artikel suggereert dat het combineren van deze twee instrumenten in een hybride systeem (dat zij Khouya-Net noemen) de beste manier is om zowel de sluwe, vormveranderende boeven als de langzame, kruipende aanvallen te vangen.

Het "Naald in een hooiberg"-probleem

Er is echter een groot probleem met het trainen van deze detectives. In de echte wereld is bijna elk bericht onschadelijk (hooi), en de slechte berichten (naalden) zijn extreem zeldzaam. Als je een detective traint op een stapel hooi met slechts één naald, kan de detective besluiten om alles te negeren en te zeggen "Alles veilig" om op de veilige zijde te blijven. Dit wordt data imbalance (data-onbalans) genoemd.

Het artikel legt uit dat ze om dit op te lossen een speciale trainingstechniek gebruikten die Focal Loss wordt genoemd. Denk hierbij aan een docent die de makkelijke vragen (het overduidelijke hooi) negeert en alleen extra punten geeft aan de student wanneer deze de moeilijke, lastige naalden correct identificeert. Dit dwingt de AI om aandacht te besteden aan de zeldzame, gevaarlijke dreigingen in plaats van lui te worden.

De resultaten: Een achtervolging met hoge snelheid

De auteurs hebben hun detectivesysteem getest met twee beroemde datasets voor oefendoeleinden: UNSW-NB15 en CIC-IDS2017. Ze draalden hun modellen op een krachtige computer met een NVIDIA RTX 4090 videokaart.

In deze simulaties waren de resultaten indrukwekkend. Het systeem wist 98,5% van de aanvallen in de UNSW-NB15 dataset te vangen en 98,9% in de CIC-IDS2017 dataset. Dit deed het terwijl het aantal valse alarmen (het beschuldigen van onschuldige mensen) zeer laag bleef. Het systeem was snel genoeg om ongeveer 5.000 netwerkstromen per seconde te verwerken, wat snel genoeg is om het verkeer van een druk bedrijf aan te kunnen.

Echter, het artikel merkt voorzichtig op dat dit resultaten zijn van specifieke datasets en simulaties. Ze beweren niet dat dit een wondermiddel is dat elk cybersecurityprobleem voor altijd oplost. Ze wijzen erop dat implementatie in de echte wereld nog steeds uitdagingen kent, zoals het feit dat boeven de AI kunnen proberen te misleiden met nieuwe trucs, of dat het systeem een "black box" is (moeilijk uit te leggen waarom het een beslissing heeft genomen).

De toekomst: Een slimmere stad

Het artikel suggereert dat de toekomst van beveiliging niet alleen gaat over het vangen van boeven, maar over het slimmer maken van de hele stad. Ze spreken over Explainable AI (uitlegbare AI), wat de beveiligingsbeambten de mogelijkheid zou geven om uit te leggen waarom ze iemand hebben tegengehouden, zodat menselijke bazen hen kunnen vertrouwen. Ze noemen ook Federated Learning, een manier voor verschillende steden om hun kennis over "Gezocht"-posters te delen zonder hun privégeheimen te delen.

Kortom, het artikel betoogt dat we moeten stoppen met het zoeken naar specifieke gezichten op "Gezocht"-posters en moeten beginnen met het trainen van AI-detectives die het verhaal van het internet begrijpen. Door deep learning te gebruiken om patronen te herkennen in zowel de minuscule details als het grote plaatje, kunnen we een verdedigingssysteem bouwen dat snel, aanpasbaar en klaar is voor de vormveranderende dreigingen van morgen. Maar zoals de auteurs ons eraan herinneren, is dit een werk in uitvoering, en de race tussen de detectives en de vormverachters is pas net begonnen.

Technische Samenvatting: Detectie van Cyberdreigingen met behulp van Deep Learning: Een Praktische Benadering

1. Probleemstelling

Het cybersecuritylandschap is verschoven van gecentraliseerde aanvallen naar gedecentraliseerde, geautomatiseerde zwermen die worden gedreven door AI, polymorfe malware en Advanced Persistent Threats (APT's). Traditionele op handtekeningen gebaseerde verdedigingsmechanismen zijn steeds minder adequaat vanwege hun reactieve aard en de afhankelijkheid van bekende patronen. Belangrijke beperkingen omvatten:

Onvermogen om versleuteld verkeer te verwerken: Statische Intrusion Detection Systems (IDS) hebben moeite met SSL/VPN-versleutelde payloads zonder kostbare decryptie.
Polymorfe en metamorfe code: Malware die zijn handtekening dynamisch wijzigt terwijl de functionaliteit behouden blijft, ontwijkt verdedigingsmechanismen die op patroonherkenning vertrouwen.
Zero-Day Exploits: Kwetsbaarheden die onbekend zijn bij leveranciers missen vooraf gedefinieerde handtekeningen, wat een venster van blootstelling creëert.
Datavolume en -snelheid: De expansie van IoT en 6G-netwerken genereert verkeersvolumes die de menselijke analysecapaciteiten overstijgen en statische beveiligingsinstrumenten onder druk zetten.
Data-imbalans: In cybersecurity-datasets zijn kwaadaardige monsters zeldzaam vergeleken met legitiem verkeer ("Naald in een hooiberg"), waardoor standaardmodellen worden overspoeld door de meerderheidsklasse en falen in het detecteren van zeldzame dreigingen.

2. Methodologie

Het artikel stelt een meerlagig detectiekader voor dat is gebouwd op PyTorch, gebruikmakend van een hybride deep learning-architectuur om netwerkverkeer te modelleren via zowel ruimtelijke als temporele correlaties.

2.1 Databronnen en Preprocessing

Het systeem verwerkt drie primaire typen data:

Packet Capture (PCAP): Ruwe pakketdata behandeld als byte-sequenties voor ruimtelijke analyse.
NetFlow: Geaggregeerde flow-data die temporele relaties vastlegt (start-/eindtijden, intervallen tussen aankomsttijden).
Endpoint Detection and Response (EDR): Host-niveau logs (procescreatie, systeemoproepen).

Preprocessing Pipeline:

Normalisatie: Numerieke kenmerken (bijv. pakketlengte) worden gestandaardiseerd met behulp van Z-score normalisatie.
Encoding: Categorische kenmerken (bijv. protocoltypen) worden omgezet naar One-Hot vectoren.
Sequentieafhandeling: Tijdreeksdata wordt omgezet in fixed-length vensters voor recurrente modellen, waarbij padding of truncatie wordt toegepast.
Augmentatie: Technieken omvatten packet shuffling, het injecteren van Gaussian noise op timing-kenmerken en random masking om netwerkvariabiliteit te simuleren en overfitting te verminderen.
Omgaan met imbalans: De auteurs maken gebruik van Focal Loss om de training te richten op moeilijk te classificeren voorbeelden. De verliesfunctie wordt gedefinieerd als:
$FL(p_t) = -\alpha_t(1 - p_t)^\gamma \log(p_t)$
waarbij $\gamma$ (gesteld op 2) de bijdrage aan het verlies van gemakkelijke voorbeelden vermindert, en $\alpha_t$ de klassengewichten balanceert.

2.2 Modelarchitectuur: Khouya-Net

De kernbijdrage is een hybride ensemble-architectuur genaamd Khouya-Net, die parallel opereert:

CNN-tak: Maakt gebruik van Convolutional Neural Networks om ruimtelijke afhankelijkheden in ruwe pakketpayloads te vangen (bijv. byte-niveau patronen die wijzen op polymorfe malware).
Bi-LSTM-tak: Maakt gebruik van Bidirectionele Long Short-Term Memory netwerken om temporele afhankelijkheden in netwerkflows te modelleren, wat de detectie van meerfasige aanvallen (APT's) mogelijk maakt die zich over een bepaalde tijd ontvouwen.
Fusie: De outputs van beide takken worden geconcateneerd en doorheen geleid via fully connected lagen met een sigmoid activatie voor binaire classificatie (Kwaadaardig vs. Legitiem).

2.3 Training en Evaluatie

Optimalisatie: De Adam-optimizer wordt gebruikt met learning rate schedulers (bijv. ReduceLROnPlateau) om lokale minima te vermijden.
Regularisatie: Dropout, Weight Decay en Batch Normalization worden toegepast om overfitting te voorkomen.
Kostgevoelig leren: Een kostenmatrix wordt toegepast op de verliesfunctie om False Negatives (gemiste dreigingen) of False Positives (alert fatigue) te bestraffen op basis van specifieke SOC-vereisten.
Metrieken: Vanwege de klasse-imbalans geeft de studie prioriteit aan Precision, Recall, F1-Score en Precision-Recall AUC (PR-AUC) boven eenvoudige accuratesse.
Verklaarbaarheid: SHAP (SHapley Additive exPlanations) waarden worden geïntegreerd om modelbeslissingen te interpreteren en bijdragende kenmerken te identificeren.

3. Belangrijkste Bijdragen

Hybride Deep Learning Framework: Introductie van de Khouya-Net architectuur, die CNN's voor ruimtelijke feature extractie en LSTM's voor temporele sequentiemodellering combineert, waarmee de beperkingen van single-architecture benaderingen worden aangepakt.
Engineeringoplossingen voor Data-imbalans: Een praktische gids voor het aanpakken van het "Naald in een hooiberg"-probleem met behulp van Focal Loss en geavanceerde samplingstrategieën die specifiek zijn afgestemd op cybersecurity-datasets.
Operationele Integratiegids: Een gedetailleerd blauwdruk voor het implementeren van deze modellen in high-performance Security Operations Centers (SOC's), inclus\u00f1t real-time inferentie, systeem schaalbaarheid en de trade-offs tussen detectie-accuratesse en latentie.
Kostgevoelige Optimalisatie: Een methodologie om modellen af te stemmen op het balanceren van False Positives en False Negatives op basis van het specifieke risicoprofiel van de doelomgeving.

4. Resultaten

Het model werd geëvalueerd op twee benchmark-datasets: UNSW-NB15 en CIC-IDS2017.

Prestaties op UNSW-NB15:
- Precision: 98,5%
- Recall: 98,1%
- F1-Score: 98,3%
- PR-AUC: 0,982
Prestaties op CIC-IDS2017:
- Precision: 98,9%
- Recall: 98,4%
- F1-Score: 98,6%
- PR-AUC: 0,987

Hardware Context: Experimenten werden uitgevoerd op een NVIDIA RTX 4090 (24GB VRAM) met een Intel Xeon Gold 6330 CPU. Het systeem bereikte batch-verwerkingssnelheden van ongeveer 5.000 flows per seconde, wat duidt op geschiktheid voor high-throughput enterprise netwerken.

Analyse: De resultaten geven aan dat de hybride aanpak traditionele machine learning-methoden (zoals SVM en Random Forest) overtreft bij het detecteren van polymorfe malware en meerstaps APT's. De CNN-tak identificeerde effectief ruimtelijke payload-anomalieën, terwijl de Bi-LSTM-tak succesvol de temporele patronen detecteerde die geassocieerd zijn met laterale beweging en exfiltratie.

5. Betekenis en Claims

Het artikel claimt dat het combineren van state-of-the-art deep learning-architecturen met operationele best practices een omvattende en aanpasbare aanpak biedt voor eerstelijns cybersecurity.

Verschuiving van Reactief naar Proactief: Door intentie te modelleren en te leren van complexe datapatronen in plaats van statische handtekeningen, verplaatst het voorgestelde framework cybersecurity van een reactieve houding naar een voorspellend, veerkrachtig verdedigingsmechanisme.
Praktische Leefbaarheid: De studie benadrukt dat deep learning niet alleen theoretisch is, maar ook praktisch kan worden geïmplementeerd in SOC's. Het adresseert kritieke engineering-uitdagingen zoals data-imbalans, model interpreteerbaarheid (via SHAP) en computationele schaalbaarheid.
Toekomstbestendigheid: Het framework is ontworpen om de evoluerende dreigingslandschappen aan te kunnen, inclusief zero-day exploits en AI-gestuurde aanvallen, door continu te leren van nieuwe data zonder constante menselijke interventie.

De auteurs concluderen dat hoewel uitdagingen met betrekking tot gegevensprivacy, model interpreteerbaarheid en computationele kosten blijven bestaan, de voorgestelde hybride deep learning-aanpak een robuuste fundering biedt voor het beveiligen van heterogene omgevingen zoals 6G-netwerken en massale IoT-ecosystemen.